ГОСТ Р 59383-2021. Национальный стандарт Российской Федерации. Информационные технологии. Методы и средства обеспечения безопасности. Основы управления доступом

6.2 Модели разграничения доступа и вопросы политики

6.2.1 Модели разграничения доступа

Существует ряд моделей разграничения доступа, которые подходят для использования в распределенной сетевой среде. Для управления своими ресурсами организация может выбрать следующие модели:

- модель разграничения доступа на основе идентификационных данных;

- модель разграничения доступа на основе ролей;

- модель разграничения доступа на основе атрибутов;

- модель разграничения доступа на основе возможностей;

- модель разграничения доступа на основе псевдонимов.

Выбор между этими моделями не обязательно является исключающим и может настраиваться в соответствии с различными группами субъектов.

Примечание - Описание моделей разграничения доступа содержится в приложении А.

 

6.2.2 Политики управления доступом

Политики системы управления доступом включают в себя политики разграничения доступа к ресурсам и политики управления и администрирования самой системы управления доступом. Необходимо установление политик для этих видов деятельности вместе с критериями обеспечения соответствия и средствами мониторинга и оценки соответствия.

Политика будет зависеть от выбранной модели разграничения доступа и подробностей реализации, в то время как установление политики и ее соответствие будут зависеть от общих соображений, которые могут охватывать следующее:

- соответствие политики разграничения доступа используемой модели разграничения доступа;

- определение и установка привилегий и атрибутов разграничения доступа для доступа субъектов и административных целей в соответствии с общей политикой разграничения доступа и разрешенными операциями с ресурсами;

- ограничение доступа к ресурсам необходимым минимумом для выполнения требуемой операции;

- требование наличия аутентифицированных идентификационных данных физических лиц и сущностей с определенным уровнем доверия до рассмотрения авторизации;

- определение авторизации физических лиц и сущностей для осуществления запрашиваемых операций доступа к ресурсам;

- предоставление доступа или отказ в доступе к ресурсам в соответствии с критериями авторизации и политикой доступа в ответ на запросы о доступе;

- обеспечение защиты персональных данных, используемых при осуществлении операций управления доступом;

- реализацию мониторинга и запись транзакций доступа с достаточным уровнем детализации, позволяющим осуществлять аудит транзакций доступа с целью демонстрации выполнения системных требований и других требований нормативных документов.

Политика может быть документально оформлена на неформальном (естественном) языке (см. 5.2.1). Впоследствии эта политика должна быть переведена в формальную политику. Нужно подтвердить, что формальная политика эквивалентна политике на естественном языке. Должны быть сформированы приемлемые доказательства соответствия этим требованиям.